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(g) Vorrichtung, System und Verfahren zum Bedienen eines Gerates 

@ Eine Vorrichtung zum Bedienen eines Gerates werst ei- 
nen Server, ein zentrales Oberwachungsmodul, Mittel zur 
Kommunikation zwischen dem Server und dem UbenAfa- 
chungsmodul, mehrere Steuer-, Wartungs- und/oder 
ObenAfachungsprogramme und Mittel zur Kommunikati- 
on zwischen den Steuer-, Wartungs- und/oder Oberwa- 
chungsprogrammen elnerseits sowie dem Server und^ 
Oder dem Uberwachungsmodul anderersetts auf. An die 
Vorrichtung ist ein Browser anschlielSbar, wodurch sich 
ein System zum Bedienen des Gerates ergibt. Durch die 
Erfindung la&t sich eine Ben utze robe rfl ache mit sicher- 
heitsreievanten oder interaktiven Funktionen flexibel und 
mit geringem Programmieraufwand realisieren. 
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Beschreibung 

Die Erfindung betrifift eine Vorrichtung, ein System und 
ein Verfahren zum Bedienen eines Gerates, insbesondere ei- 
nes komplexen medizinischen Gerates wie beispielsweise 5 
eines Tomographiegerates oder eines Angiographiegerates. 
Der BegrifF "Bedienen" ist ira weitesten Sinne zu verstehen 
und umfafit insbesondere das Steuem, Einstellen, Warten, 
Anpassen und/oder Oberwachen des Gerates. 

Komplexe Gerate wie die oben genannten bedUrfen der lO 
regelmafiigen Wartung. Dazu sind bisher spezielle Pro- 
gramme dngesetzt worden, die es im Dialog mit dem War- 
tiingsingenieur enndglichen, Messungen durchzufiihren, in- 
terne Parameter einzustellen oder andere Funlctionen auszu- 
fiihren. is 

Solche speziell programmierte Wartungsanwendungen 
sind jedoch wenig flexibel, wenn die BenutzeroberflSche 
neu gestaltet oder eine andere Rechnerplattform eingesetzt 
werden soli. Zur Femwartung des Gerates mufi mit hohem 
AufSvand eine Anzeigenumleitung eingericbtet werden. 20 

Es ist bereits allgemein voigeschlagen worden, Benutzer- 
oberflachen als HTMI^Dokumente (HTML = Hypertext 
Markup Language; Textauszeichnungssprache mit Querver- 
weis-Funktionen) zu realisieren. Diese Dokumente werden 
von einem bekannten WWW-Server (WWW = World Wide 25 
Web) bereitgestelll, in einen bekannten WWW-Browser ge- 
laden und von diesem angezeigt 

Diese Art der In^lementierung einer Benutzeroberflache 
ist jedoch bisher nur fiir einfache und unkritische Steuerauf- 
gaben eingesetzt worden. Sicherheitsrelevante oder interak- 30 
tive Funktionen, wie sie zur Wartung komplexer Systeme 
unabdingbar sind, konnten nicht-oder nur unzureichend ver- 
wirklichl werden. Wichtige Aspekte sind dabei ein zuverlas- 
siger Zugriffsschutz gegen unberechtigte Benutzung, eine 
angemessene Behandlung von Hardwarestdrung^i, bei- 3S 
spielsweise Verbindungsabbruchen, und die Mdglichkeit, 
den Ablauf eines Programms interaktiv zu beeinllussra. 

Die Erfindung hat demgemaB die Aufgabe, die genannten 
Probleme zu Idsen und eine Vorrichtung, ein System und ein 
V&rfahrcn beieit zustellen, um eine Benutzeroberflache mit 40 
sicherheitsrelevanten oder interaktiven Funktionen flexibel 
und mit geringem Programmieraufwand zu realisi^en. Ins- 
besondere soUen moglichst weitgebend Standardmodule 
eingesetzt werden konnen. 

ErfindungsgemaB wird diese Aufgabe durch eine Vorrich- 45 
tung, ein System und ein Verfahren nach den Anspruchen 1, 
10 beziehungsweise 12 gelost. Die erfindungsgemafie \br- 
richtung umfaBt dabei die serverseitigen Komponenten des 
Systems, an die ein bekannter Browser anschUeBbar isL 

Die Erfindung beruht auf der Grundidee, ein zentrales 50 
Oberwachungsmodul ("Watchdog") auf der Serverseite vor- 
zusehen, das von alien wesentlicben Vorgangen im System 
unterrichtet wird und in Zusammenwirken mit dem Browser 
und weiteien Systemkon^nenten die gewtinschten Funk- 
tionen realisiert 5S 

Duich die Erfindung wird es mdglich, die oben beschrie- 
bene Technik der Lnplementierung einer Benutzeroberfla- 
che durch HIML-Dokumente auch flir komplexe Gerate 
einzusetzen, bei denen sicherheitsrelevante oder interaktive 
Funktionen eiforderlich sind. Die Erfindung ist fur alle Ar- 60 
ten von Geraten einsetzban 

Weil fiir HTML-Dokumente komfortable Entwicklungs- 
werkzeuge existieren, kann die Benutzeroberflache von dem 
Designer direkt als HTML-Dokument entworfen und bei 
Bedarf flexibel geandert werden. Der bisher erforderliche 65 
Schritt des Progranunierens der Benutzeroberflache entfallt 

Der Datenaustausch zwischen dem Server und dem 
Browser ist liber eine Schnittstelle auf vielerlei Aiten mog- 
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lich. Der Browser kann lokal, beispielsweise tiber ein Ver- 
bindungskabel, an das Gerat angeschlossen sein. Im £x- 
tremfaU laufen der Server und der Browser als zwei Pro- 
zesse auf einem einzigen Rechner. Auch eine nicht-lokale 
Verbindung (beispielsweise eine Modemverbindung) ist 
ohne individuellen Programmieraufwand moglich, weil 
WWW-Server und WWW-Browser schon von vomherein 
fiir einen Client-Server-Betrieb ausgelegi sind. 

Die Erfindung weist bevorzugt einen oder mehrere der 
folgenden drei Aspekte auf, die nicht notwendigerweise an 
die erfindungsgemaBe Systemstruktur gebunden sind: 

1. Zugriffskontrolle auf die einzelnen Geratefunktio- 
nen, 

2. Erkennen von Veibindungsabbrtichen, und 

3. Beieitstellen interaktiver Funktionen. 

Zur Zugriffskontrolle sind vorzugsweise serverseitige 
Komponenten des Systems dazu eingericbtet, eine Authend- 
fizierung der Berechtigung eines Benutz^ durchzuftihren. 
Dazu gibt der Benutzer seinen Benutzemamen und ein 
Kennwort ein. Erst bei erfolgreicher Authentifizierung er- 
halt der Benutzer Zugriff auf die Bedienoberflache. 

Vorzugsweise konnen unterschiedlichen Benutzem unter- 
schiedliche Zugriffsberechtigungsstufen zugeordnet wer- 
den, so daB beispielsweise bestimmte Funktionen nur von 
besonders autorisierten Benutzem ausfuhrbar sind. Auch 
kann das zu bedienende Gerkt auf unterschiedliche Freiga- 
bestufen einstellbar sein. Vorzugsweise werden die dem Be- 
nutzer angezeigten HTML-Seiten an dessen Zugriffsberech- 
tigung dynamisch angepafit. 

Das Erkennen von Verbindungsabbnichen erfolgt vor- 
zugsweise dadurch, daB das laufende Eintreffen peri- 
odischer, vom Browser gesendeter Nachrichten ("Ping- 
Nachrichten**) iiberwacht wird. Bleiben die Ping-Nachrich- 
tea aus, so werden vorzugswdse alle laufenden Ptozesse ab- 
gebrochen. 

Interaktive Funktionen, wozu insbesondere die Moglich- 
keit gehort, laufende Prozesse jederzeit und mit geringer 
Verzogerung abbrechen zu kormen, werden vorzugsweise 
dadurch bereitgestellL, da8 iiber das Oberwachungsmodul 
eine interaktiv-bidirektionale Verbindung zwischen der Be- 
nutzeroberflache und dem laufenden ProzeB aufrechterhal- 
ten wird. 

Zwar werden bevorzugt HTML-Dokumente zur Imple- 
mentierung der Benutzeroberflache verwendet; es sind je- 
doch auch andere Seitenbeschreibungssprachen einsetzbar. 
Ebenso konnen statt bekannter WWW-Server und WWW- 
Browser andere Server und Browser benutzt werden, Der 
Server startet Programme vorzugsweise iiber eine CGI- 
Schnittstelle (CGI = Common Gateway Interface; Standard- 
schnittstelle bei WWW-Servem zum Aufruf extemer Rro- 
granmie) oder auf eine andere geeignete Art 

Das erfindungsgem^e Verfahren beruht auf dem Grund- 
prinzip, ein durch den Server aufgerufenes Programm vor- 
zusehen, das Daten mit dem Uberwachungsmodul aus- 
tauscht und dann eine gewiinschte Aktion ausflihrt. Damit 
lassen sich die oben genannten Funktionen mit geringem 
Programmieraufwand erzielen. 

Weitere bevorzugte Ausgestaltungen der Erfindung sind 
in den iibrigen Unteranspriichen definiert 

Unter Hinweis auf die Zeichnungen wird nun ein Ausfiih- 
rungsbeispiel der Erfindung beschrieben, das von den Erfin- 
dem gegen wartig als der beste Weg erachtet wird, die Erfin- 
dung auszufuhren. Es handelt sich dabei um ein Wartungs- 
system fiir ein medizinisches Gerat Es zeigen: 

Fig. 1 ein DatenfiuBdiagramm des erflndungsgemSBen 
Systems, 
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Fig. 2 ein Zustandstibeigangsdiagramxn eines typischen 
Ablaufs des erfindungsgemaBen Systems, und 

Fig. 3 und Fig. 4 DatenfiuBdiagramme beim Starten und 
Abbrecben eines Waitungsprogramms. 

In Fig. 1 sind unterfaalb der gestrichelten Linie diejenigen 5 
Komponenten des erfindungsgemafien Systems daigestelll, 
die einem zentralen Hostrechner des zu bedienenden Gera- 
tes zugeordnel sind (serverseitige Komponenten). Ein 
WWW- Server 10 vermag Verbindungsprogramme 12 iiber 
eine CGI-Schnittstelle aufzurufen. Die Verbindungspro- lo 
gramme 12 starten ihrerseits Wartungsprogramme 14 und 
sind mit diesen wahrend des Programmablaufs uber den 
IPC-Mechanismus (IPC = Inter-process Communication; 
Kommunikation zwischen Pnozessen) verbunden. 

Jedes Wartungsprogramm 14 fuhrt eine oder mehrere i5 
Wartungsfunktionen aus und ruft Steuerprozesse 16 des zu 
bedienenden Gerates uber den RPC-Mechanismus (RPC = 
Remote I^X)cedure Call; nicht-lokaler Prozeduraufruf) auf. 
Die Steueiprozesse 16 sind Telle der Steuerung des zu be- 
dienenden Gerates; sie dienen bei spiels weise zum Durch- 20 
fiihren von Messungen an Hardwarebaugruppen. 

Der Server 10, die Wartungsprogramme 14 und die Steu- 
erprozesse 16 des zu bedienenden Gerates sind mit einer 
Oder mehr^en Datenbanken 18 verbunden, die globaie 
Steuerdaten fiir das zu bedienende Gerat, Wartungs^eb- 25 
nisse, Handbuchdateien und so weiter enthalten. 

Ein zentrales Uberwachungsmodul 20 weist ein Verzeich- 
nis 22 gegrawartig aktiver Programme (Verbindungspro- 
gramme 12, Wartungsprogramme 14 und sonsdge Pro- 
gramme) auf und ist durch den IPC-Mechanismus mit den 30 
Verbindungsprogrammen 12 sowie mit einem Startpro- 
gramm 24, einem Authentifizierungsprogramm 26, einem 
Ping-Programm 28 und einem Abbruchprogramm 30 ver- 
bunden. Die letztgenannten vier Programme werden ihrer- 
seits iiber die CGI-Schnittstelle des Servers 10 aufgerufen. 35 
Das Uberwachungsmodul 20 fuhrt im Zusammenspiel mit 
den CGI-Programmen 12, 24, 26. 28 und 30 und dem Server 
10 eine \^elzahl von tiberwacbungs- und Verwaltungsauf- 
gaben aus, die unten genauer beschrieben weiden. 

Eine Schnittstelle 32 veibindet den Server 10 mit einem 40 
www-Browser 40, der in Fig. 1 oberhalb der gesbichelten 
Linie gezeigt ist Die Verbindung zwischen dem Server 10 
u nd de m Browser 40 erfolgt uber das HTTP-Protokoll 
(HTTP = Hypertext TVansfer Protocol). In dem hier be- 
schriebenen Ausfuhrungsbeispiel ist der Browser 40 lokal 45 
dem zu bedienenden Gerat zugeordnet In einer Ausfuh- 
rungsaltemative ist der Browser 40 auf einem extemen 
Rechner installiert, beispielsweise auf einem gebrauchli- 
chen Notebook, das iiter eine PPP- Verbindung (PPP = 
Point-to-point Protocol) an den Server 10 angeschlossen ist 50 
Ein Schutz gegen fehlerhafte t)bertragung oder Manipula- 
donen kann durch Priifsunmien oder eine Verschlusselung 
der tibertragenen Daten erreicht werden. 

Der Browser 40, beispielsweise d» unter der Marke 
"Netscape Navigator" bekannte, vermag ASCII- und 55 
HTML-Seiten anzuzeigen. Programme in JAVA und JA- 
VASCRIPT auszufUhren und Bingaben des Benutzers an 
den Server 10 zu Ubermitteln. Als Hauptaufgabe stellt der 
Browser 40 durch Anzeigen einer speziellen HTMLr\^^- 
tungsseite eine Benutzeroberflache fur das zu bedienende 60 
Gerat zur Verfugung. Uberdies sind iiber den Browser 40 
eine Online^Dokumentation sowie weitere Programme auf- 
rufbar. 

Die vom Browser 40 angezeigte HTML-Wartungsseite ist 
logisch unt^teilt in einen sichtbaren Rahmen (Frame) 42, 65 
einen dem Benutzer verborgenen, ersten statischen Rahmen 
44 und einen verborgenen, zweiten statischen Rahmen 46 
mit temporaiem InhalL Die unsichtbaren Rahmen 44 und 46 
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enthalten Dalen, JAVASCRIPT-Ptogramme und JAVA-App- 
lets. 

Die HTML-Wartungsseite wird nur ein einziges Mai, 
namlicb zu Beginn des Wartungsvoigangs, voUstandig in 
den Browser 40 geladen. Sp^r werden lediglich der sicht- 
bare Rahmen 42 und der Inhalt des zweiten stadschen tem- 
porSren Rahmens 46 iiberschrieben. Der stadsche Rahmen 
44 wird wahrend des Wartungsvorgangs nicht iiberschrie- 
ben, so dafi die in ihm gespeicherten Daten erhalten bleiben. 
Die in dem sichtbaren Rahmen 42 angezeigten und in dem 
ersten stadschen Rahmen 44 gespeicherten Informationen 
konnen durch geeignete JAVASCRIPT-Programme, JAVA- 
Applets oder sonsdge Mittel verandert werden. Der zweite 
stadsche Rahmen 46 wird geladen, um Variable und/oder 
Felder im ersten stadschen Rahmen 44 und/oder im sichtba- 
ren Rahmen 42 zu andem. Vorzugsweise wird eine neue 
HTML-Seite mit JAVA-Script-Prograrmnen, JAVA- Applets 
oder sonsdgen Mitteln in den zweiten stadschen Rahmen 46 
geladen und automadsch zur Ausfiihrung gebracht. Die 
HTMLrSeite wird vor allem auch von einem CGI-Pro- 
gramm dynamisch generiert Der Vorteil des zweiten stad- 
schen Rahmens 46 besteht darin, dafi zur Aktualisierung des 
sichtbaren Rahmens 42 und des ersten stadschen Rahmens 
44 nicht die voUstandigen Rahmen 42, 44 vom Server 10 
iibertragen werden miissen, sondem nur noch die \^ablen 
darin gesetzt werden. Daraus ergeben sich schnellere t)ber- 
tragungszeiten, da nur Anderungen ubertragen werden. Au- 
Berdem wird ein fur den Benutzer storendes sichtbares 
Nachladen des sichtbaren Rahmens 42 vermieden. 

In dem statischen, verborgenen Rahmen 44 sind erstens 
haufig benotigte Hilfsprogramme gespeichert, die auf diese 
Weise nicht wiederholt geladen zu werden brauchen. Zwei- 
tens dient dieser Rahmen zum Speichem globaler Werte, die 
wahrend der gesamten Systemlaufzeit erhalten bleiben sol- 
len, beispielsweise eines wahrend des Startens des Systems 
an den Browser 40 iibertragenen, sitzungsabhangigen 
Schliissels. Drittens enthalt dies^ Rahmen einen Ping-Pro- 
zefi 48 als JAVASCRIPT-Programm oder JAVA- Applet, der 
pedodische Ping-Meldungen an den Server 10 ausgibt 
Diese Komponenten w^den unten genauer beschrieben. 

Das in Fig* 2 gezeigte Zustandsubra-gangsdiagranmn stellt 
die Zustande wShrend des Betriebs des beschriebenen Aus- 
fiihrungsbeispiels und die diese 2^stande verbindenden £r- 
eignisse (tlbergSnge) dar. Beim Hochfahren des Systems 
werden zunachst der Server 10 und dann das Uberwa- 
chungsmodul 20 gestartet und somit der Zustand 50 durch- 
laufen und der Zustand 52 erreicht. Das Auftreten eines Feh- 
lers fiihrt zu einem Fehlerzustand 54, der durch ein manuel- 
les Riicksetzen wieder verlassen werden kann. 

Auf einen Befehl des Benutzers zum Starten der Benutz- 
eroberflache wird der Browser 40 aufgerufen (2^stand 56), 
der eine entsprechende Nachricht iiber die Schnittstelle 32 
an den Server 10 sendet Der Server 10 ruft daraufhin das 
Star^rogramm 24 auf, das seinerseits iiber IPC das Uberwa- 
chungsmodul 20 benachrichdgt Da es sich bei dem hier ge- 
gebenen Beispiel um einen lokal angeschlossenen Browser 
40 handelt, mufi die Authentifizierung des Benutzers noch 
erfolgen. Diese Informadon wird an den Server 10 zurQck- 
gegeben, der daraufhin eine allgemeine HTMLrStartseite an 
den Browser 40 tibermittelt, die dem Benutzer angezeigt 
wird. 

Wenn der Benutzer von der aUgemeinen HTML-Start- 
seite auf die Wartungsfunktionen des Systems zugreifen 
mochte, muB er zur Authentifizierung (Zustand 58) seinen 
Benutzemamen und ein Kennwort eingeben. Diese werden 
vom Browso: 40 uber die Schnittstelle 32 an den Server 10 
und von dort an das Authentifizierungsprogramm 26 tiber- 
mittelt Letzteres Uberpriift, gegebenenfalls in Absdmmung 
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mit weiteren Programmen, die eingegebenen Authentifizie- 
rungsdaten nach einer Vielzahl von Kriterien. 

Es werden anlagenabhangige, variable KennwSrter mil 
einstellbarer Gultigkeitsdauer verwendet AuBerdem sind 
unterschiedlichen Benutzern unterschiedlicbe Zugriffsbe- 5 
rechdgungsstufen zugeordnel, so daB bestimmte Funktionen 
nur von besonders autorisierten Benutzern aufgerufen war- 
den konnen. Die fur einen Benutzer mdglichen Funktionen 
hangen uberdies von einer am zu bedienenden Gerat einge- 
stellten Freigabestufe ab, die jederzeil ge^dert werden lO 
kann. Das Uberwachungsmodul 20 hat Zugriff auf die Je- 
wells aktuelle Freigabestufe. Beispielsweise kdnnen be^ 
stinunte Wartungsfunktionen nur bei einem lokal ange- 
schlossenen Browser 40 &eigegeben sein. 

Falls die Autbentifizierung erfolgreich ist, ubennittelt der is 
Serv^ 10 dem Browser 40 die HTML-Wartungsseite, durch 
die die Benutzeroberflache implementiert ist (Zustand €0). 
Femer generiert das Oberwachungsmodul 20 einen sit- 
zungsabhangigen SchlUsseU der auch die ennittelte Zu- 
grififsberechtigungsstufe anzeigt Dieser Schlussel wird in 20 
Form eines JAVA-Scripts und evtL eines JAVA-Applets in 
den temporaren Rahmen 46 geladen, wobei das JAVA-Script 
bzw. das JAVA- Applet seinerseits eine in dem statischen 
Rahmen 44 enthaltene Variable entsprechend setzL 

Der Browser 40 braucht nicht lokal an den Server 10 an- 25 
geschlossen zu sein. Beispielsweise kann in einer Ausfiih- 
rungsaltemative die Konununikation zwischen dem Server 
10 und dem Browser 40 iiber eine PPP-Modemverbindung 
erfolgen. Die AuthentifizieruDg des Benutzers iindet dann 
schon beim Aufbau der PPP-Verbindung statt, so daB zum 30 
Starten der Benutzeroberflache keine weitere Kennwortein- 
gabe erforderlich ist Dies wird beim Starten des Browsers 
40 durch das Startprogramm 24 festgestellt, das dafUr sorgt, 
dafi dem Browser 40 unmittelbar die HTMLrWartungsseite 
sowie der sitzungsabhSngige Schliissel ubermittelt werden 35 
(Zustand 60). 

Der in dem statischen Rahmen 44 der HTML-Wartungs- 
seite gespeicherte Schlussel beeinfluBt den weiteren Ablauf 
des Wartungsvorgangs in mehrerlei HinsichL Zunachst kon- 
nen in den wahrend des weiteren Ablaufs vom Server 10 an 40 
den Browser 40 ubermittelten HTML-Dateien JAVAS- 
CRIPT-Programme oder JAVA-Applets enth alien sein, die 
die Gestaltung der dem Benutzer angezeigten Seiten in Ab- 
hangigkeit von der ZugrifFsberechtigungsstufe verandem. 
Beispielsweise kann voigesehen sein, daB nur bei bestimm- 45 
ten Zugrijffsberechtigungsstufen einzelne Seiten in dem 
sichtbaren Rahmen 42 angezeigt werden oder einzelne 
Funktionen durch den Benutzer wahlbar sind. Uberdies wird 
der Schlussel wiederholt an den Server 10 ubertragen und 
dient dort als Kennwort Das eigentUche Benutzerkennwort 50 
braucht dah^ nur einmal bei der Authentifisderung eingege- 
ben zu werden, aucb wenn der Server 10 dfters ein Kenn- 
wort anfordert Die serverseitigen Komponenten des Sy- 
stems verwenden den SchlCkssel femer, um die an den 
Browser 40 iibertragenen HTML-Daten dynamisch an die 55 
Zugrifi&berechtigung des Benutzers und an die augenblick- 
liche Freigabestufe des zu bedienenden Gerates anzupassen. 

Als nachster Schritt des Systemablaufs wird der mit dem 
statischen, verborgenen Rahmen 44 an den Browser 40 
iibertragene Ping-ProzeB 48 geslartet und somit der Zustand 60 
62 erreicht. Von nun an sendet der Ping-ProzeB 48 fortwah- 
rend in vorbestimmten Zeitabst&nden Ping-Nachrichien 
liber die Schnittstelle 32 an den Server 10. Jede erhaltene 
Ping-Nachricht bewirkt einen Aufruf des PHng-Programms 
28 Ober die CGI-Schnittstelle des Servers 10, das seinerseits 65 
eine entsprechende Meldung iiber IPC an das Oberwa- 
chungsmodul 20 sendet Auf die Auswertung der empfange- 
nen Ping-Meldungen wird spater eingegangen. 
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In dem zentralen Zustand 62 werden dem Benutzer in 
dem sichtbaren Rahmen 42 geeignete Informationen ange- 
zeigt und, je nach der Zugriffsbeiechtigungsstufe des Benut- 
zers und der Freigabestufe des zu bedienenden Gerates, Op- 
tionen zur Anwahl gegeben. 

Insbesondere kann der Benutzer durch Anwahl einer ent- 
sprechenden Option ein Wartungsprogramm 14 starten. Bei 
diesem in Fig. 3 genauer dargestellten Vorgang sendet der 
Browser 40 eine geeignete Nachricht an den Server 10 (Da- 
tenstrom 80), wodurch ein Verbindungsprogramm 12 aufge- 
rufen wird (Datenstrom 82). Dieses &agt zunachst beim 
t)berwachungsmoduI 20 an (Datenstrom 84), ob der Benut- 
zer die Berechtigung zum Ausftihren des gewiinschten War- 
tungsprogramms 14 bat Diese Berechtigung hangt von der 
Zugrififsberechtigungsstufe des Benutzers und von der Frei- 
gabestufe des zu bedienenden Gerates ab. 

Wenn der Benutz^ berechtigt ist (Datenstrom 86), startet 
das Verbindungsprogramm 12 das gewahlte Wartungspro- 
gramm 14 (Datenstrom 88) und meldet dessen ProzeBbe- 
zeichner an das Uberwachungsmodul 20 (Datenstrom 90). 
Das Oberwachungsmodul 20 vermerict diesen Prozefibe- 
zeichner in dem Verzeichnis 22. Damit ist der in Fig. 2 ge- 
zeigte Zustand 64 erreicht Allerdings sind in dem beschrie- 
benen Ausfuhrungsbeispiel die Zustande 62 und 64 nicht 
streng getrennt, denn es ist moglich, wie in Fig. 1 dai^e- 
stellt, mehrere Wartungsprogramme 14 zu starten und paral- 
lel oder quasi-paraUel ablaufen zu lassen. 

Endet das Wartimgsprogramm 14, ohne daB der Benutzer 
einen Abbruchbefehl gegeben hat, dann wird dies an das 
Verbindungsprogramm 12 gemeldet (Datenstrom 92 in Fig* 
3). Der Bndstatus des Wartungsprogramms 14 wird Qber den 
Server 10 an den Browser 40 weiteigegeben (Datenstrome 
94 und 96). AuBerdem informiert das Verbindungspro- 
gramm 12 das Uberwachungsmodul 20 (Datenstrom 98), 
das den ProzeBbezeichner des beendeten Wartungspro- 
gramms 14 aus dem Verzeichnis 22 streicbt 

Neben dem gerade bescbriebenen, durch das Wartungs- 
programm 14 selbst bewirkten Programmende kann der Be- 
nutzer durch Anwahlen einer in dem sichtbaren Fenster 42 
gezeigten Befehlsflache einen Befehl zum regularen Abbre- 
chen eines, einiger oder aller Wartungsprogramme 14 sowie 
der zugeordneten Verbindungsprogramme 12 geben ("abort- 
Befehl"). Die Programme werden dadurch "sauber" abge- 
schlossen und beendet. Dieser Vorgang ist in Fig. 4 genauer 
dargestelit. 

Weder wird der vom Benutzer gegebene Abbruchbefehl 
an den Server 10, dann iiber die CGI-Schnittstelle an das 
Abbruchprogramm 30 und von dort an das Uberwachungs- 
modul 20 ubermittelt (Datenstrome 100, 102 und 104). Soil 
beispielsweise ein einziges Wartungsprogramm 14 abgebro- 
chen werden, so bestimmt das Oberwachungsmodul 20 des- 
sen ProzeBbez^chner sowie das zugehQrige \^indungs^ 
programm 12. Eine geeignete Abbruchanforderung wird 
nun an dieses Verbindungsprogramm 12 und das Wartungs- 
programm 14 gesendet (Datenstrdme 106 und 108). Damit 
ist der Zustand 66 in Fig. 2 erreicht 

Wenn das Wartungsprogramm 14 auf die Abbruchanfor- 
derung korrekt reagiert, so beendet es sich und gegebenen- 
faUs auch einen zugeordneten SteuerprozeB 16 und meldet 
dies an das Verbindungsprogramm 12 (Datenstrom 110), das 
seinerseits das tJberwachungsmodul 20 informiert (Daten- 
strom 112) und sich dann ebenfaUs beendet. Ein Zeitfehler 
beim Abbrechen wird erkannt, wenn die Abbruchbestati- 
gung nicht innerhalb eines vorbestimmten Zeitraumes bei 
dem Oberwachungsmodul 20 eintrifft (Zustand 68 in Fig. 
2). In diesem Fall fiihrt das Oberwachungsmodul 20 einen 
erzwungenen Progranunabbruch durch, indem es einen ent- 
sprechenden Befehl ("kill"-Befehl) an das Verbindungspro- 
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gramm 12 und das Wartungsprogramin 14 sendet 

Das Ergebnis des regularen oder erzwungenen Abbnichs 
wird vom t}berwachungsmodul 20 an das Abbruchpro- 
gramm 30, den Server 10 und den Browser 40 gemeldet 
(Datenstrome 114, 116 und 118). Das Oberwachungsmodul 5 
20 loscbt dabei das abgebrochene Programm aus seinem 
Verzeichnis 22. 

Der hier am Beispiel eines Programmabbruchs darge- 
stellte Mechanismus kann allgemein verwendet werden, um 
laufenden Wartungsprogrammen 14 Eingabedaten zu iiber- 10 
mitteln und somit eine interaktive Bedienung eines Pro 
gramms uber einen Browser 40 zu erlauben. Grundprinzip 
ist es dabei, die Eingabedaten dem Uberwachungsmodul 20 
iiber ein vom Server 10 aufgerufenes Programm, vorzugs- 
weise ein CGI-Programm, zuzuleiten. Letzteres stellt fest, 15 
fiir welches der gerade aktiven Programme die Eingabeda- 
ten bestimmt sind, und leitet sie, gegebenenfalls iiber ein 
diesem Programm zugeordnet es Verbindungsprogranmi, 
dorthin weiten 

Wahrend das Wartungssystem akdv ist und der Hng-Pro- 20 
zeB 48 des Browsers 40 lauft, aLso in den in Fig. 2 gezeigten 
Zustanden 62 bis 68, iibeipriift das Oberwachirngsmodul 20 
laufend, ob die letzte eingegangene Ping-Meldung noch 
nicht langer als eine vorgegebene Zeitdauer zuriickliegt. Ein 
Ausbleiben der Ping-Meldungen bei dem Uberwachungs- 25 
modul 20 (Ping-Zeitfehler) zeigt eine Fehlfiinktion an, typi- 
scherweise einen Absturz eines Rechners, einen Programm- 
abbruch oder ein Zusammenbrechen der Kommunikations- 
verbindung zwischen dem Server 10 und dem Browser 40 
(Zustand 70). 30 

Wird ein Ping-Zeitfehler vom "Oberwachungsmodul 20 
erkannt, so beendet dieses alle aktiven Verbindungspro- 
gramme 12 und Wartungsprogramme 14 auf die oben be- 
schriebene Weise, so als ob vom Benutzer ein Befehl fur den 
regularen Abbruch aller aktiven Programme gegeben wor- 35 
den ware. Das System geht in den 2^stand 52 iiber und war- 
tet auf einen neuen Startbefehl. 

Das Oberwachungsmodul 20 ist in dem beschriebenen 
System ein zentraler ProzeB, der Zugriff auf alle Informatio- 
nen iiber den gegenwartigen Systemzustand hat. Daher kann 40 
das 'Oberwachungsmodul 20 eine Reihe weiterer Aufgaben 
erfiillen. Beispielsweise kann sich die Freigabestufe des zu 
bedienenden Gerates wahrend des Wartungsvorgangs an- 
dem. Das Oberwachungsmodul 20 entscheidet daraufhin, 
welche der gerade aktiven Wartungsprogramme 14 weiter- 45 
hin ausgefuhrt werden diirfen. Gegebenenfalls bricht das 
Oberwachungsmodul 20 die nicht langer ablaufberechtiglen 
Wartungsprogramme 14 auf die oben dargestellte Weise ab. 

Das eriindungsgemaBe System, das in dem hier beschrie- 
benen Ausfuhrungsbeispiel als Wartungssystem fur ein me- SO 
dizinisches Gerat voigesehen ist, ist ebenso zur Steuerung, 
EinsteUung, Wartung, Anpassung oder Oberwachung aller 
Arten von technischen Geraten einsetzban Zur Verbindung 
zwischen dem Server 10 und dem Browser 40 konnen alle 
geeigneten Kommunikationsmittel, beispielsweise auch das 55 
Internet oder ein Intranet, eingesetzt werden. 

Patentanspriiche 

1. Vorrichtung zum Bedienen eines Gerates, mit 60 

- einem ServCT (10), der dazu eingerichtet ist, 
Daten an einen anschlieBbaien Browser (40) zu 
senden und von diesem zu empfangen, 

- einem Oberwachungsmodul (20), 

- Mitteln (24, 26, 28, 30) zur Kommunikation 65 
zwischen dem Server (10) und dem Oberwa- 
chungsmodul (20), 

- mehreren Steuer-, Wartungs- und/oderOberwa- 
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chungsprognunmen (14, 16), und 

- Mitteln (12) zur Kommunikation zwischen den 

Steuer-, Wartungs- und/oder Oberwachungspro- 

grammen (14, 16) einerseits sowie dem Server 

(10) und/oder dem Oberwachungsmodul (20) an- 

dererseits. 

2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daB das Oberwachungsmodul (20) dazu ein- 
gerichtet ist, ein Verzeichnis (22) der jeweils aktiven 
Steuer-, Wartungs- und/oder Oberwachungspro- 
gramme (14, 16) zu speichern und laufend zu aktuali- 
sieren. 

3. Vorrichtung nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, dafi das Oberwachungsmodul (20) und/ 
oder ein vom Server (10) aufgerufenes Authentifizie- 
rungsprogramm (26) dazu eingerichtet ist/sind, eine 
Autbratifizierung (58) eines Benutzers durchzufiihren. 

4. Vorrichtung nach einem der Anspriiche 1 bis 3, da- 
durch gekennzeichnet, daB ein vom Server (10) aufge- 
rufenes Verbindungsprogramm (12) dazu eingerichtet 
ist, bei dem Oberwachungsmodul (20) eine Anfrage 
hinsichtlich der Berechtigimg eines Benutz^ zimci 
Starten eines der Steuer-, Wartungs- und/oder Oberwa- 
cbungsprogramme (14, 16) durchzufUhren und gegebe- 
nenfalls dieses Steuer-, Wartungs- und/oder Oberwa- 
chungsprogramm (14, 16) zu starten. 

5. Vorrichtung nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, daB das Oberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Ping- 
Programm (28) dazu eingerichtet ist/sind, das Ausblei- 
ben periodischer, vom Server (10) empfangener Ping- 
Nachrichten festzustellen und daraufhin zu veranlas- 
sen, daB alle aktiven Steuer-, Wartungs- und/oder 
Oberwachungsprogramme (14, 16) abgebrochen wer- 
den. 

6. Vorrichtung nach einem der Anspriiche 1 bis 5, da- 
durch gekennzeichnet, daB das Oberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Ab- 
bruchprogranmi (30) dazu eingerichtet ist/sind, als Re- 
aktion auf eine vom Server (10) empfangene Abbrucb- 
nachricht zu veranlassen, dafi mindestens eines der 
Steuer-, Wartungs- und/oder Oberwachungspro- 
gramme (14, 16) sowie gegebenenfalls ein zugeordne- 
tes Verbindungsprogramm (12) abgebrochen wird. 

7. Vorrichtung nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, daB das Oberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Pro- 
gramm dazu eingerichtet ist/sind, eine vom Server (10) 
empfangene Nachricht an ein zugeordnetes Steuer-, 
Wartungs- und/oder Oberwachungsprogramm (14, 16) 
weiterzuleiten, 

8. Vorrichtung nach einem der Anspriiche 1 bis 7, da- 
durch gekennzeichnet, dafi die vom Server (10) aufge- 
rufenen Programme (12, 24, 26, 28, 30) CGI-Pro- 
gramme sind. 

9. Vorrichtung nach einem der Anspriiche 1 bis 8, da- 
durch gekennzeichnet, dafi die vom S^er (10) iiber 
die Schnittstelle (32) gesendeten und empfangenen Da- 
ten HTML-Daten sind. 

10. System zum Bedienen eines Gerates, mit einer 
Vorrichtung nach einem der Anspriiche 1 bis 9 und ei- 
nem an den Server (10) uber eine Schnittstelle (32) an- 
geschlossenen Browser (40), der eine BenutzeroberflS- 
che bereitstellt 

11. System nach Anspruch 10, dadurch gekennzeich- 
net, dafi der Browser (40) dazu eingerichtet ist, einen 
Ping-ProzeB (48) auszufuhren, der periodisch eine 
Ping-Nachricht an den Server (10) sendet. 
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12. Verfahren zum Bedienen eines Gerates, mil den 
Schritten: 

a) Empfangen einer von einem Browser (40) 
stammenden Nachricht durch einen Server (10), 

b) Aufruf eines Programms (12, 24, 26, 28, 30) 5 
durch den Server (10), 

c) Kommunikation des vom Server (10) aufgeru- 
fraien Piogramms (12, 24, 26, 28, 30) tnit einem 
Oberwachungsmodul (20), und 

d) Aufiruf Oder Abbrechen eines Steuer-, War- lo 
tungs- und/oder Uberwachungsprogramms (14, 
16) durch das vom Server (10) aufgenifene Pn>- 
gramm (12, 24, 26, 28, 30) oder das tJberwa- 
chungsmodul (20). 

13. Verfahren nach Anspruch 12, mit dem weiteien 15 
SchriU: 

e) Aktijalisieren eines Verzeichnisses (22) der ak- 
tiven Steuer-, Wartungs- und/oder Uberwa- 
chungsprogranune (14, 16) durch das Oberwa- 
chungsmodul (20), 20 
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